Podatności Centrifugo

Centrifugo przed wersją 6.9.0 pozwala zdalnemu klientowi na sfałszowanie nagłówków, takich jak x-trusted-user, w wywołaniach proxy connect, refresh, subscribe, publish, RPC i pokrewnych, gdy backend polega na tym nagłówku do uwierzytelniania lub autoryzacji. Podatność wynika z kopiowania nagłówków kontrolowanych przez klienta do kontekstu połączenia i przekazywania ich jako zaufanych nagłówków backendu.

W Centrifugo przed wersją 6.8.4, w transporcie WebSocket jednokierunkowym z włączoną kompresją, ograniczenie rozmiaru wiadomości było stosowane przed dekompresją, a po dekompresji nie było limitu wyjściowego. Umożliwiało to nieuwierzytelnionym żądaniom do /connection/uni_websocket wywołanie dużego zużycia pamięci i CPU.

W Centrifugo przed wersją 6.8.1, weryfikacja dynamicznego punktu końcowego JWKS mogła ponownie użyć klucza dla jednego dozwolonego wystawcy do weryfikacji JWT dla innego dozwolonego wystawcy. Problem wynikał z tego, że pamięć podręczna JWKS i wyszukiwanie singleflight były kluczowane wyłącznie przez nagłówek JWT kid, a nie przez rozpoznany punkt końcowy JWKS, wystawcę, odbiorcę lub przestrzeń nazw domeny zaufania.